今週のレポートでは、CTIは、Earth Longzhiと呼ばれる、以前に文書化されていない APT41のサブグループの発見に関連する戦術インテリジェンスレポートを調査します。 次は、サイバー犯罪者、セキュリティ専門家、法強制機関、サイバー保険会社などにとってどのような意味を持つかアカウント、ランサムウェアや恐喝の支払いの禁止を施行するオーストラリア政府の提案の概要です。 また、Twitterでの最近の展開サマリや、当社の経営陣の変化がソーシャルメディアプラットフォームのセキュリティ体制にどのような影響を与えているとセキュリティ専門家が考えているかについても記載しています。
1. Earth Longzhi：カスタムSymatic Cobalt Strikeローダを使用した新しい APT41 サブグループ
トレンドマイクロ (新しいタブで開く) は最近、中国国家が支援するハッキンググループ、 APT41 (新しいタブで開く) という、以前は文書化されていないサブグループの存在を明らかにしました。 サブグループは 2020 年からアクティブで、カスタムバージョンのCobalt Strikeローダを使用して、対象システムに永続的なバックドアをデプロイしています。
Trend Microは、 2022 年初頭に台湾の企業が侵害されたインシデントを調査しました。 インシデントで利用されたマルウェアは、カスタムCobalt Strikeローダであり、研究者は同様のローダがデプロイされた 2020に遡る追加のインシデントに遡ります。 Trend MicroはこのグループをEarth Longzhiと名付け、この操作によって2つの大規模なキャンペーンが実行されているのを見てきました。
初めてのEarth Longzhiマルウェアキャンペーン
最初のEarth Longzhiキャンペーンは、台湾の 2020年5月 2021年2月 政府、インフラ、学術、健康の各業界と中国の銀行部門の間で行われました。
このキャンペーンでは、スピアフィッシングメール をプライマリエントリベクトルとして利用してマルウェアを配信し、カスタムのCobalt Strikeローダ、Symaticローダ、その他のカスタムハッキングツールを活用しました。
Earth Longzhiは、爆発後の活動用にオールインワンのハッキングツールを準備し、活用しています。 このオールインワンツールは、必要なすべてのユーティリティを1つのパッケージに統合し、一般に利用可能であるか、以前の攻撃で展開された多くのユーティリティが含まれています。 これにより、脅威は1つの実行可能ファイルを使用して複数の操作を完了できます。 その機能には、高い特権を持つプロセスの起動、ローカルまたはリモートドライブに関する情報の収集、ファイルのタイムスタンプの変更、Windowsファイル保護の無効化などがあります。
第2キャンペーン
第2キャンペーンはから 2021年8月 まで行われ、台湾2022年6月 、中国、タイ、マレーシア、インドネシア、パキスタン、ウクライナの防衛、航空、保険、都市開発 産業で注目を集めた プロファイル 被害者を対象にしました。
最初のキャンペーンの場合と同様に、このキャンペーンは主にスピアフィッシングメールを最初のエントリとして利用しました。 Earth Longzhiは、このキャンペーンでさまざまな種類のカスタマイズされたCobalt Strikeローダを展開しました。Trend MicroはCroxLoader、BigpipeLoader、OutLoader、MultipipeLoaderと名付けました。
トレンドマイクロはまた、第2キャンペーンの調査中に複数のハッキングツールも収集しました。 収集されたツールは、権限昇格(PrintNightmareおよびPrintSpoofer)、資格情報ダンプ(Mimikatz)、防御回避（セキュリティ製品の無効化）を目的としています。 Earth Longzhiは、公開ツールを使用するのではなく、いくつかのオープンソースプロジェクトに基づいて独自のツールを再実装するか、開発します。
Earth Longzhi属性
Trend Microは、このアクティビティを以下の要因に基づいて APT41’s のサブグループ Earth Longzhiに関連付けました。
- 被害者学： 影響を受ける地域と対象セクターは、東アジアと東南アジアにある関心のある国です。この国は、別のAPT 41 サブグループの Earth Baku (新しいタブで開く)の被害者学に近いところにあります。
- 共有Cobalt Strikeメタデータ： 研究者は、Cobalt Strikeペイロードのほとんどが同じ透かしと公開鍵を共有していることを発見しました。 この透かし/公開鍵の組み合わせは、他の APT41 のサブグループでも使用され、 Earth Longzhiが他のAPT41 のサブグループと同じCobalt Strikeチームサーバを共有していることを示します。
- Code similarities: Researchers discovered that the decryption algorithms in Symatic Loader and CroxLoader are very similar to the one identified with GroupCC (opens in a new tab), another APT41 subgroup.
- 重複するTTP： Earth Longzhiは、GroupCCが実際のコマンドと制御(C2)サーバアドレスを非表示にするために活用するPython Fastly CDNを採用しました。 研究者は、これが2つのサブグループ間の関係の証拠であると考えています。
Taniumのサイバー脅威インテリジェンスチームからのアナリストコメント
“APT41 は非常に洗練されており、潜在的なサブグループ(Earth Longzhiなど）は、通常、傘グループと同じ程度の注意を払って扱う必要があります。 トレンドマイクロが観察した2つのEarth Longzhiキャンペーンは数か月続きました。これは、活動が2年以上も無関係であったため、グループの高度化と運用セキュリティ(OPSEC)へのコミットメントのさらなる証拠です。
2。 オーストラリア、ランサムウェア決済の禁止を検討
オーストラリアは現在、サイバー犯罪ビジネスモデルの恐喝ベースの側面を弱体化させる取り組みとして、ランサムウェアへの支払いの禁止を検討しています。
ホームアフェアーズとサイバーセキュリティ担当大臣のクレア・オニール氏は、政府がランサムウェアへの支払いの禁止だけでなく、政府の全体的なサイバー戦略の一環として恐喝への支払いの犯罪化にも目を向けていることを確認しました。
オーストラリアがランサムウェアの支払いを禁止する理由
オーストラリアでは、最近、プロファイルを集めるサイバーセキュリティインシデントが発生しています。 最も注目すべき侵害の1つは、今月初めに発生した メディバンクインシデント (新しいタブで開く) です。 オーストラリア最大の民間医療保険会社の1つであるメディバンクは、 最近、ハッカーが顧客の個人データにアクセスできたことを 明らかにしました。 企業、サイバー犯罪の専門家から受け取ったアドバイス に基づいて行われたと伝えられている脅威への身代金の支払い は行わないと述べた。
メディバンクのインシデントは、オーストラリアで2番目に大きな通信会社Optus がサイバー攻撃 (新しいタブで開く)を経験してから数週間後に発生しました。 これらの攻撃は最終的に 、オーストラリア政府が ランサムウェアの支払い を禁止する可能性に関する 現在の 協議 を促しました。
オーストラリアは他に何をしていますか？
オーストラリア では、サイバー犯罪と闘う ために、オーストラリア連邦警察(AFP)とオーストラリア最高 法強制 サイバー インテリジェンス 機関であるオーストラリアシグナル局(ASD)が新たに常設の共同操作 を発表した わずか1日後に、身代金の支払いを完全に 禁止するという考えが始まりました。
この新しいイニシアチブは、「ランサムウェア脅威グループを優先してサイバー犯罪シンジケートを阻止する」ことを目指しており、「インテリジェンスを収集し、リングリーダー、ネットワーク、インフラストラクチャ特定するして、どこにいても、運用を妨害して阻止します」。
オーストラリアのランサムウェア計画は機能しますか？
ランサムウェアへの支払いの禁止は膨大な 提案であり、質問する人によって 異なる回答を引き出す可能性があります。
ランサムウェアへの支払い の禁止 の背景にあるロジックの多くは、ランサムウェア攻撃を受けた 側が 犯罪 者に対処することを余儀なくされているという 繰り返しの 事実に由来します。 これは明白なQuestionを促します：特に交渉中に犯罪者を信頼するべきでしょうか？ 脅威は、身代金を支払うことで、流出したデータが公開されることはなく 、暗号化されたファイルが復元されるという主張をすることがありますが、1日 の終わりには保証はありません。
唯一確実なことは、身代金 を支払うことで脅威アクターにのみ報い、効果的で実りある取り組み を証明することで積極的な強化を提供することです。 さらに、身代金を支払うことで、 被害を受けた組織 とその業界が より大きな標的になる可能性があります。脅威が特定の企業/セクター/国が身代金を支払う意思があることに気 づくと、その標的はさらに 魅力的になります。
逆に、ランサムウェア決済の犯罪は、意図した影響とは逆の可能性があります。 記録によると、これは「企業が規制の調査を避けるためにインシデントについて黙っていなければならなくなるため、攻撃の可視化をさらに深める」可能性があります。
身代金の支払いを強制すると、これらの犯罪は隠され、法強制機関からの対応は、すでにそうであるよりもさらに困難になります。
これはサイバー犯罪者にとって何を意味するのでしょうか？
オーストラリアがランサムウェアへの支払いの禁止を決定した場合、サイバー犯罪者はいくつかの方法で対応できます。
一方、脅威はもはやオーストラリアをランサムウェアの運用にとって有利な脅威と見なしていないかもしれません。 被害者が身代金を支払うのが違法である場合、ランサムウェアの運用という問題と努力を経験する理由は何ですか？ 何を得るべきですか？ もちろん、この結果は、ダウンタイム、停止、評判の低下の面でコストがかかるとしても、すべてのオーストラリア企業法律の文言に従うことに全力を注いでいるというふりに完全に依存しています。
脅威もこれを課題として捉えることができます。 結局のところ、ランサムウェアに遭遇した企業は、犯罪に遭った場合に身代金を支払ったという事実を隠そうとしている可能性があります。 これが起きると、 脅威は最初の1つの身代金を静かに保つために追加の身代金を要求し、ランサムウェア攻撃者が強要の武器に追加するための別の形の脅迫に戻る可能性があります。
脅威は、ランサムウェアから収益を生み出す他の方法へとピボットすることもあります。 脅威がオーストラリアや他国からの取り組みに焦点を合わせるか、追加の身代金支払いの可能性を利用するかどうかは不明です。
これがサイバー保険に与える影響
サイバー保険は、ポリシーの時期によって企業によって異なりますが、その多くは、サイバー攻撃に関連するその他の金銭的損失とともに身代金の支払いをカバーします。 サイバー保険会社やサイバー保険に加入している企業は、身代金の支払いが犯罪に遭った場合、既存のポリシーを見直して変更する必要があるでしょう。
Taniumのサイバー脅威インテリジェンスチームからのアナリストコメント
「ランサムウェアへの支払いを禁止するオーストラリアの検討は、ランサムウェア市場に深刻な波をもたらす可能性があります。 結局のところ、身代金の支払いの禁止はサイバー犯罪を終わらせることはなく、脅威が戦術を変更するよう促す可能性が高いのです。
「完全に禁止される可能性は、ボルステッド法がアルコールを禁止したアメリカの禁止時代を思い起こさせます。 人々がアルコールを消費するのを防ぐのではなく、ギャングの暴力を増やし、新しい地下市場を生み出しました。 後者の状況は、おそらく身代金の支払いを完全に禁止した後に発生するでしょう。
「その他の質問も増えています。 脅威は、ランサムウェアから、身代金の支払いを禁止している他の収益創出手段へとピボットするのでしょうか？ また脅威はこれらの国から一線をピボットすのでしょうか？ CTIは、オーストラリアが身代金の支払いを禁止する決定に関する進化を追跡し続け、そのような選択から生じる影響に留意します。
3。 Twitterのセキュリティ問題の拡大
Twitterは現在、さまざまなセキュリティリスクに直面しており、当社は引き続きリーダーシップと人事の変更を受けています。
例、Elon Muskによる買収後、同社のトップセキュリティの真鍮は最近辞任しました。
Politicoより：「最高情報セキュリティ責任者、最高プライバシー責任者、最高コンプライアンス責任者、信頼と安全責任者を含むTwitterの最高セキュリティ責任者 （新しいタブで開く） は、継続的な連邦取引委員会の調査の中でMuskの新しい収益獲得（新しいチェックマークポリシーなど）を実施するリスクがあることを引用して、木曜日に辞任しました」
Twitterのセキュリティポリシーの実装を担当する役員の大量流出は、ハッカーから自社能力を守る能力に悪影響を及ぼしません。 Twitterのサイバーセキュリティ体制は、すでに多くの人々にとって懸念すべき問題であり、今年初めに元セキュリティ責任者のPeiter Zatko氏によって提起された 内部告発者の苦情 （新しいタブで開く） を促しました。 現在、状況はさらに悪化しているようです。
大幅な人員削減
すでに緊張している状況を悪化させることは、Twitterが 5,500 人の契約従業員のうち4,000 人以上を解雇したと主張する多数の報告です。
影響を受けるロールには、TwitterのCoreインフラストラクチャサービス」を構成するロールと、コンテンツのモデレーションとマーケティングにおけるポジションが含まれると言われています。 削減の影響を受けた人たちからの様々な直接ツイートは、Twitterの信頼と安全チームに関与した多くの従業員も影響を受けたことを示唆しているようだ。
プラットフォームは 、解雇 （新しいタブで開く）への対応に多くの欠点を抱いており、 これは主に元Twitter従業員が非常に非人格的な方法で実行されていると説明しています。 多くの従業員はEメールで自分の運命を知り、システムアクセスが突然取り消されたときに自分で物事図するようになった従業員もいました。
セキュリティに関する最大の懸念
Twitterにおけるセキュリティ上の最大の懸念の1つは、単にEメールアドレスやパスワードだけでなく、同社が保存する膨大な量のデータに関係しています。 同社はまた 、ダイレクトメッセージ受信トレイ (新しいタブで開く）にデータを保存します が、エンドツーエンドの暗号化は使用しません。
Twitterはまた、当初はプラットフォーム上の情報の信頼性に対する信頼を高めるように設計された青色のチェックマークシステムの見直しに続いて、広範囲にわたる偽アカウントのフォールアウトにも苦労しています。
11月初旬、TwitterはiPhoneAppで7.99 ドルのブルーサブスクリプションサービスを開始しました。 このサービスにより、ユーザは、アカウントのアカウント正確さと真正性のシンボルであった、欲しがる青いチェックマークを購入できました。 最近では、ユーザがTwitter Blueに登録する能力Appから消えました。
Taniumのサイバー脅威インテリジェンスチームからのアナリストコメント
「これらの最近の出来事の最も直接的で目に見える結果は、株価の低下と、Twitterでの 支出を一時停止した広告主の増加 (新しいタブで開く) です」
「また、Twitterのセキュリティ流出の人的コストを懸念する理由もあります。 あらゆる外見で、Twitterのセキュリティ装置全体（一部のアカウントでは、逃亡した企業）にウォーキングペーパーが渡されている可能性があります。
もちろん、Twitterイッターは既に誤った情報、偽装、詐欺で蔓延していました。 上記の開発は、平均的なTwitterユーザがそのようなことに遭遇する頻度を指数関数的に増加させる可能性が高いでしょう。
「CTIは、ソーシャルメディアプラットフォーム上でやり取りを行う場合に注意してください。 すべてにQuestionします。」
共有したいこれらのストーリーについて洞察がありますか？ Taniumのディスカッションフォーラム に進み、会話を始めてください。
詳細は、最近の サイバー脅威インテリジェンスのまとめをご覧ください。
